Hoewel de meeste gemeenten die zich met digitale toepassingen bezighouden waarschijnlijk al eens kritisch zijn bekeken door de Autoriteit Persoonsgegevens (AP), sloeg de boete die Enschede kreeg in gemeenteland in als een bom. Dat zegt Wim Willems, commissievoorzitter en bestuurlijk trekker van de Themagroep Smart Cities van de G40 en wethouder in Apeldoorn .

Gemeenten zijn door de uitspraak terughoudend geworden bij innovatie en digitalisering, zaken die juist zo belangrijk zijn om de maatschappelijke opgaven op te pakken. Willems (Lokaal Apeldoorn): ‘Net als Enschede willen gemeenten innoveren om tot slimme duurzame verstedelijking te komen. Digitale veiligheid staat daarbij voorop. We moeten wel strak binnen de lijntjes lopen van de AP. Tegelijkertijd vraagt de AP gemeenten de krachten te bundelen om zaken bespreekbaar te maken. Daar ben ik voor de G40 heel goed in geslaagd, mede door het rapport waarin we alle projecten hebben geïdentificeerd. Met de VNG, de P10, de M50 en K80 zoekt de G40 de samenwerking om kennis te delen. Daarbij hebben gemeenten een adviserend orgaan aan de voorkant nodig en niet alleen een controleur. Gemeenten handelen naar eer en geweten en proberen de goede dingen te doen. Help ons verder te komen, in plaats van ons alleen directief te straffen.’

Een andere kant

Monique Verdier is vicevoorzitter van de Autoriteit Persoonsgegevens. De privacywaakhond bracht afgelopen zomer een rapport uit over smart cities. Zij snapt dat veel gemeenten bezig zijn met digitalisering. Maar ze signaleert ook dat binnen de gemeenten onvoldoende aandacht is voor de risico’s die aan innovatie kleven. ‘Men beseft onvoldoende dat de inzet van digitale mogelijkheden als probleemoplossing ook nieuwe problemen creëert. Met het rapport vragen we om aandacht en bewustwording voor de risico’s die de gemeente aangaat bij de foute inzet van dit soort middelen.’   

Willems is blij met de aanbevelingen uit het rapport. Die bieden overzicht van de vraagstukken die leven en helpen gemeenten scherp te blijven. ‘Het begint bij de publieke waarden. Voor mij staan drie zaken altijd bovenaan: het borgen van de veiligheid van de data, de ethische vraagstukken en de privacy. Geef de gemeenteraad hierin ook de juiste rol, en die mag steviger.’

De wethouder wijst op de pilot met het sensorenregister, waarbij de camera’s gericht op de publieke ruimte in kaart worden gebracht. ‘Met het initiatief laten de lokale overheden zien wat ze doen in de openbare ruimte en dat ze privacyvraagstukken serieus nemen.’

Extra complex

Feit blijft wel dat de huidige wet- en regelgeving in de privacywet AVG (Algemene verordening gegevensbescherming) onduidelijk is. Zo verschillen de juridische kaders van de diverse domeinen. Om over de ethische vragen – hoe zwaar weegt privacy ten opzichte van veiligheid bijvoorbeeld – nog maar te zwijgen. ‘Op het moment dat de gemeente innovatie wil inzetten, heb ik geen instantie om te vragen of ik de data mag gebruiken. Natuurlijk wil ik aan de voorkant alles goed dichtregelen, maar dat lukt niet altijd omdat het een nieuw speelveld is. Gemeenten werken constructief samen op dit thema. Ik nodig de AP uit ons in die samenwerking te ondersteunen.’

Ik wil innovatie gebruiken om de stad leefbaarder te maken

Wat het extra complex maakt, is dat gemeenten als eindverantwoordelijke software afnemen van externe leveranciers. Willems moet met een marktpartij vooraf de vraagstukken rond privacy, veiligheid en digitale toegankelijkheid dichten, terwijl Apeldoorn software in huis heeft die al vijf jaar draait. Daar komt de AP dan nog eens overheen met regelgeving waarvan de kaders best ruim zijn. ‘Hoe strak ga je daarin zitten? Dat is mijn worsteling.’  

Verdier vindt het jammer dat gemeenten door de kwestie-Enschede in hun schulp kruipen. Dat hoeft niet: een ambtenaar kan een heel eind komen met de AVG in de hand. Het gevaar zit in het verslappen van de aandacht. Iedere willekeurige medewerker bij een gemeente zal zich aan de AVG willen houden om de grondrechten van burgers niet te schaden. ‘Zorg er voor dat de interne toezichthouder, de functionaris gegevensbescherming, aan het begin van een traject meedoet en kritische vragen kan stellen. Dan is de kans dat het misgaat vele malen kleiner. Vul zo’n DPIA (data protection impact assessment, red.) goed in, dat maakt je bewust van de risico’s zodat je van tevoren over een oplossing kunt nadenken.’

Ethisch kader

De AP-vicevoorzitter adviseert gemeenten permanent vanuit een ethisch kader te werken om zo de burgerrechten te beschermen. Het bestrijden van ondermijning bijvoorbeeld is een belangrijke zaak, maar tegelijkertijd worden ook gegevens vastgelegd van onschuldige personen die je juist wilt beschermen. Die mensen zijn voor de rest van hun leven gebrandmerkt, want het is uiterst ingewikkeld om van zo’n lijst af te komen. Weeg die dingen. Vertrouw ook leveranciers niet op hun blauwe ogen. Vergewis je ervan of een systeem voldoet aan privacywetgeving. Daar is kennis voor nodig en het besef wat je aan het doen bent.’

Het sensorenregister is een mooie stap in de goede richting, maar het is pas de eerste stap. Verdier: ‘Daarmee zorg je er nog niet voor dat ze geen dingen opnemen die ze niet mogen opnemen. Als privacy het uitgangspunt is, praat er dan over en deel kennis. De ontwikkelingen gaan dusdanig snel dat we niet kunnen verwachten dat elke gemeente hier goed mee om kan gaan. Voorzie bij het besluit om een bepaald middel in te zetten ook de gemeenteraad van de juiste informatie. Welke  risico’s zijn er en welke overwegingen spelen een rol?’  

Willems erkent dat het de gemeente helpt om een DPIA uit te voeren en de functionaris gegevensbescherming in te zetten. Ze werken echter wel ­binnen de kaders van de AVG en daarbij ontbreken wat piketpaaltjes. ‘De AP doet bijvoorbeeld de aanbeveling om inwoners in een vroeg stadium bij de vraagstukken te betrekken. Dat proberen wij, maar hoe kan ik inwoners betrekken van wie ik de gegevens niet heb of niet mag gebruiken? Dit terwijl ik bij de ontvangst van een zienswijze alle NAW-gegevens heb van de indiener. Voor een wethouder is dat best een dilemma. Binnen mijn eigen organisatie ga ik ervan uit dat we het hebben uitgezocht. De privacyfunctionaris zit aan voorkant van ieder traject en kent de regels, maar iedere advocaat geeft daarover zijn eigen uitleg.’

Bevorderen en bewaken

Die vraagstukken wil Willems aan de AP kunnen voorleggen. Door de boete staan gemeenten nu stil. Ze verliezen daarmee hun proactieve rol. ‘Als wij het niet doen, doen commerciële partijen het. Ik heb als wethouder de zorg naar onze inwoners, maar ik wil ook innovatie gebruiken om de stad leefbaarder te maken. Help ons daarbij, AP.’

Verdier: ‘De AP doet twee dingen. We helpen overheden om zaken goed te regelen, maar beboeten ook als het fout gaat. We bevorderen en bewaken, dat is onze taak. Gemeenten vragen mij waarom de AP niet eerst een waarschuwing geeft. Soms doen we dat en soms niet, het is maar net hoe de situatie is. De AVG is ingezet op zelfwerkzaamheid en eigen verantwoordelijkheid van eenieder om de dingen goed te doen. De AP is veel te klein om alle taken uit te voeren die we moeten doen. Willen de gemeenten echt meer ondersteuning, verhoog dan ons budget. Wanneer we gemeenten helpen, doen we dat doorgaans via de VNG.’

Boetes

Over de zaak-Enschede kan Verdier inhoudelijk weinig kwijt omdat die onder de rechter ligt. Ze begrijpt heel goed dat een stad voor de fysieke veiligheid wil weten op elke momenten het waar druk is. ‘Gebruik daarvoor dan een telsysteem, want een volgsysteem laat zien welke telefoon zich waar ophoudt. Mensen hebben het recht vrij en onbespied over straat te gaan.’